管理事件数据事件为启用 CloudTrail 日志记录 Amazon 代理注册表

Amazon CloudTrail 整合

迁移现已开放

Amazon 代理注册表已在新agent-registry命名空间下启动。2026 年 10 月 30 日将停止对公共预览版bedrock-agentcore命名空间的支持。有关迁移说明，请参阅注册表迁移综合指南。

Amazon 代理注册表与集成 Amazon CloudTrail，可记录用户、角色或 Amazon 服务所执行的操作。 CloudTrail 将 Amazon 代理注册表的 API 调用捕获为事件。捕获的调用包括来自 Amazon 代理注册表控制台的调用和对 Amazon 代理注册表 API 操作的代码调用。

Amazon 代理注册表支持记录两类事件：

管理事件 — 创建、配置和管理注册表和注册表记录的 Control-plane 操作（例如CreateRegistry，UpdateRegistryRecord）。默认情况下会记录管理事件；您无需采取任何操作即可接收它们。
数据事件 — High-volume 在注册表上或注册表内执行的数据平面操作（例如，发现记录或调用 MCP）。默认情况下不记录数据事件。要接收它们，您必须创建跟踪并明确启用AWS::AgentRegistry::Registry资源类型的数据事件记录。

要持续记录您的 Amazon 账户中的事件，包括 Amazon 代理注册表的事件，请创建跟踪。跟踪允许 CloudTrail 将日志文件传输到 Amazon S3 存储桶。如果您未配置跟踪，您仍然可以在 CloudTrail 控制台的事件历史记录中查看最新的管理事件（数据事件不会显示在事件历史记录中）。

管理事件

管理事件（也称为控制平面事件）显示对注册表和注册表记录执行的管理操作。系统会默认记录管理事件。

事件源： agent-registry.amazonaws.com

支持的管理事件：

API 操作	readOnly
CreateRegistry	否
GetRegistry	是
UpdateRegistry	否
DeleteRegistry	否
ListRegistries	是
CreateRegistryRecord	否
GetRegistryRecord	是
UpdateRegistryRecord	否
DeleteRegistryRecord	否
ListRegistryRecords	是
SubmitRegistryRecordForApproval	否
UpdateRegistryRecordStatus	否

客户自由文本字段（例如name、descriptionstatusReason、和描述符）data已编辑为。HIDDEN_DUE_TO_SECURITY_REASONSclientToken（一个等性标记，不是秘密）以明文形式保存。

管理活动示例 — CreateRegistry


{
  "eventVersion": "1.11",
  "eventSource": "agent-registry.amazonaws.com",
  "eventName": "CreateRegistry",
  "eventCategory": "Management",
  "eventType": "AwsApiCall",
  "readOnly": false,
  "managementEvent": true,
  "awsRegion": "us-east-1",
  "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
  "requestID": "b2c3d4e5-6789-01bc-def0-EXAMPLE22222",
  "sourceIPAddress": "192.0.2.1",
  "recipientAccountId": "123456789012",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAEXAMPLEID:Alice",
    "arn": "arn:aws:sts::123456789012:assumed-role/Admin/Alice",
    "accountId": "123456789012",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAEXAMPLEID",
        "arn": "arn:aws:iam::123456789012:role/Admin",
        "accountId": "123456789012",
        "userName": "Admin"
      },
      "attributes": {
        "creationDate": "2026-07-14T20:46:07Z",
        "mfaAuthenticated": "false"
      }
    }
  },
  "requestParameters": {
    "name": "HIDDEN_DUE_TO_SECURITY_REASONS",
    "description": "HIDDEN_DUE_TO_SECURITY_REASONS",
    "clientToken": "12345678-1234-1234-1234-123456789012"
  },
  "responseElements": {
    "registryArn": "arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry"
  },
  "resources": [
    {
      "type": "AWS::AgentRegistry::Registry",
      "accountId": "123456789012",
      "ARN": "arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry"
    }
  ]
}

数据事件

通过数据事件，可以查看在注册表上或注册表内执行的资源操作。这些操作通常是大批量的。默认情况下不记录数据事件；您必须在跟踪中启用它们。

事件源： agent-registry.amazonaws.com

资源类型：AWS::AgentRegistry::Registry

支持的数据事件（全部为只读）：

API 操作	说明
SearchDiscoverableRegistryRecords	搜索可发现的注册表记录
ListDiscoverableRegistryRecords	列出注册表中可发现的注册表记录
BatchGetDiscoverableRegistryRecord	检索多个可发现的注册表记录
InvokeRegistryMcp	调用注册表的模型上下文协议 (MCP) 端点

注意

的默认设置 CloudTrail 是仅记录管理事件。确保您的账户启用了数据事件。由于繁忙的注册表可能会在短时间内生成大量事件，因此请注意启用数据事件记录的时间有多长。

重要

记录数据事件将收取额外费用。有关更多信息，请参阅 Amazon 网站上的Amazon CloudTrail 定价。

示例数据事件 — SearchDiscoverableRegistryRecords

客户自由文本字段 (searchQuery,filters) 已编辑为。HIDDEN_DUE_TO_SECURITY_REASONS由于这些是只读操作，responseElements因此为空且省略。


{
  "eventVersion": "1.11",
  "eventSource": "agent-registry.amazonaws.com",
  "eventName": "SearchDiscoverableRegistryRecords",
  "eventCategory": "Data",
  "eventType": "AwsApiCall",
  "readOnly": true,
  "managementEvent": false,
  "awsRegion": "us-east-1",
  "eventID": "c3d4e5f6-7890-12cd-ef01-EXAMPLE33333",
  "requestID": "d4e5f6a7-8901-23de-f012-EXAMPLE44444",
  "sourceIPAddress": "192.0.2.1",
  "userAgent": "aws-sdk-java/2.0",
  "recipientAccountId": "123456789012",
  "userIdentity": {
    "type": "AssumedRole",
    "principalId": "AROAEXAMPLEID:Alice",
    "arn": "arn:aws:sts::123456789012:assumed-role/Admin/Alice",
    "accountId": "123456789012",
    "sessionContext": {
      "sessionIssuer": {
        "type": "Role",
        "principalId": "AROAEXAMPLEID",
        "arn": "arn:aws:iam::123456789012:role/Admin",
        "accountId": "123456789012",
        "userName": "Admin"
      },
      "attributes": {
        "creationDate": "2026-07-23T06:16:34Z",
        "mfaAuthenticated": "false"
      }
    }
  },
  "requestParameters": {
    "searchQuery": "HIDDEN_DUE_TO_SECURITY_REASONS",
    "registryIds": ["arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry"],
    "filters": "HIDDEN_DUE_TO_SECURITY_REASONS"
  },
  "resources": [
    {
      "type": "AWS::AgentRegistry::Registry",
      "accountId": "123456789012",
      "ARN": "arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry"
    }
  ]
}

为启用 CloudTrail 日志记录 Amazon 代理注册表

管理事件（无需设置）

默认情况下，管理事件会记录并在 CloudTrail 事件历史记录中显示 90 天，无需支付额外费用。要延长其保留时间或将其交付到 Amazon S3，请按照下一节所述创建跟踪；默认情况下，跟踪包括管理事件。

数据事件（需要带有数据事件选择器的跟踪）

要记录 Amazon Agent Registry 数据事件，请创建跟踪（或编辑现有跟踪），然后为AWS::AgentRegistry::Registry资源类型添加数据事件选择器。

使用控制台

打开 Amazon CloudTrail 控制台。
在导航窗格中，选择跟踪，然后选择创建跟踪（或选择现有跟踪并编辑）。
输入跟踪名称，然后选择或创建用于日志传输的 S3 存储桶。选择其他路径设置，然后选择下一步。
在事件下，选择数据事件。
对于数据事件类型，请从下拉列表中选择 “ Amazon 代理注册表”。
选择日志选择器模板：
- 记录所有事件以记录每个数据事件，或者
- 自定义，按属性（例如readOnlyeventName、或）进行筛选resources.ARN（例如，仅记录特定的注册表）。
选择 “下一步”，查看您的设置，然后选择 “创建跟踪”（或保存更改）。

创建跟踪后， Amazon 代理注册表数据事件将传送到您的 S3 存储桶。

使用 Amazon CLI

创建跟踪（如果您还没有），然后为AWS::AgentRegistry::Registry资源类型附加高级事件选择器。

注意

用于日志传输的 Amazon S3 存储桶必须具有授予写入日志文件的 CloudTrail 权限的存储桶策略。如果您指定的存储桶不是通过 CloudTrail 控制台创建的，则必须自己附加此策略。有关更多信息，请参阅 Amazon CloudTrail 用户指南中的 Amazon S3 存储桶策略 CloudTrail和Amazon 使用 CLI 创建跟踪。


# 1. Create a trail (skip if you already have one; the S3 bucket must already have the
#    CloudTrail bucket policy attached — see the note above)
aws cloudtrail create-trail \
    --name my-agent-registry-trail \
    --s3-bucket-name my-cloudtrail-bucket

# 2. Log all Agent Registry data events
aws cloudtrail put-event-selectors \
    --trail-name my-agent-registry-trail \
    --advanced-event-selectors '[
      {
        "Name": "Log all Agent Registry data events",
        "FieldSelectors": [
          { "Field": "eventCategory", "Equals": ["Data"] },
          { "Field": "resources.type", "Equals": ["AWS::AgentRegistry::Registry"] }
        ]
      }
    ]'

# 3. Start logging
aws cloudtrail start-logging --name my-agent-registry-trail

要缩小您记录的事件范围，请添加更多字段选择器。例如，要仅记录特定的注册表，请执行以下操作：


aws cloudtrail put-event-selectors \
    --trail-name my-agent-registry-trail \
    --advanced-event-selectors '[
      {
        "Name": "Log data events for one registry",
        "FieldSelectors": [
          { "Field": "eventCategory", "Equals": ["Data"] },
          { "Field": "resources.type", "Equals": ["AWS::AgentRegistry::Registry"] },
          { "Field": "resources.ARN", "Equals": ["arn:aws:agent-registry:us-east-1:123456789012:registry/EXAMPLEregistry"] }
        ]
      }
    ]'

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

使用以下方式记录注册表 API 调用 Amazon CloudTrail

VPC 和 Amazon PrivateLink